Folgen Generieren Sie ein API-Token, führen Sie Ihre Spotter-Abfrage über die Securonix REST-API (/ws/spotter/index/search) aus und speichern Sie die Ereignisse als JSON. Wenn die Quelle Rohtext gesendet hat, wird die Originalzeile normalerweise im Rohereignisfeld aufbewahrt. Spotter in der Benutzeroberfläche kann ebenfalls Ergebnisse exportieren.
Securonix zieht große Mengen an Aktivitätsdaten für UEBA und SIEM an, was es zu einem reichen Ort macht, aus dem man ein Untersuchungsslice exportieren kann. Prime Core hat 14.283 Erkennungsregeln für Securonix, die 620 MITRE ATT&CK-Techniken zugeordnet sind. Unten ist, wie man Daten extrahiert, sie bereinigt und kostenlos in LogTotal untersucht.
Bevor Sie beginnen
API-Zugriff. Sie benötigen einen Securonix-Benutzer, dem die Nutzung der API gestattet ist. Tokens werden mit den Anmeldedaten dieses Benutzers generiert und haben einen von Ihnen gewählten Gültigkeitszeitraum.
Ihre Mandanten-URL. Cloud-Mandanten sehen normalerweise aus wie https://<tenant>.securonix.net/Snypr.
Aufbewahrung. Heiße Daten sind direkt in Spotter durchsuchbar. Ältere Daten können in einem Langzeitspeicher liegen, der zusätzliche Schritte zum Durchsuchen erfordert.
Exportieren mit der REST-API
BASE="https://<tenant>.securonix.net/Snypr"
# 1. Token, gültig für einen Tag
TOKEN=$(curl -sS -H "username: $SNX_USER" -H "password: $SNX_PASS" -H "validity: 1"
"$BASE/ws/token/generate")
# 2. Spotter-Abfrage für ein Zeitfenster
curl -sS -G -H "token: $TOKEN" "$BASE/ws/spotter/index/search"
--data-urlencode 'query=index=activity AND devicehostname="web-03"'
--data-urlencode 'eventtime_from=10/19/2026 00:00:00'
--data-urlencode 'eventtime_to=10/20/2026 00:00:00'
> snx_web03_1019.json
# 3. ein Ereignis pro Zeile
jq -c '.events[]' snx_web03_1019.json > snx_web03_1019.jsonl
Hochladen, bereinigen und in LogTotal überprüfen
- Hochladen. Öffnen logtotal.com und die Datei hineinziehen.
- Bereinigen. Sehen Sie es sich an, bevor Sie fortfahren.
- Überprüfen.
Wenn es schiefgeht
| Symptom | Wahrscheinliche Ursache | Fix |
|---|---|---|
| Token-Anfrage schlägt fehl | Falsche Anmeldedaten oder der Benutzer kann die API nicht nutzen | Überprüfen Sie die API-Berechtigung des Benutzers |
| Leere Ergebnisse | Abfragesyntax oder das Datumsformat stimmt nicht überein | Testen Sie die Abfrage in Spotter; überprüfen Sie das Format |
| Nur ein Teil der Ergebnisse | Paging nicht befolgt | Fordern Sie die folgenden Seiten mit der Abfrage-ID an |
| Alte Ereignisse fehlen | Daten sind aus dem Hot-Speicher verschoben | Überprüfen Sie die Optionen für den Langzeitspeicher |
FAQ
Kann ich stattdessen Verstöße und Bedrohungen exportieren?
Diese sind Erkennungen und haben ihre eigenen API-Aufrufe. Für LogTotal exportieren Sie die dahinter liegenden Aktivitätsereignisse.
Ist Securonix vor Ort anders?
Die API ist weitgehend dieselbe; die Basis-URL ist Ihr eigener Server. Überprüfen Sie den API-Leitfaden Ihrer Version.
